Proteger WordPress con SSL - Guía para principiantes

Introducción: ¿Por qué es tan importante proteger tu WordPress con SSL?

Imagina que tu sitio web es una casa. Cada vez que un visitante entra, deja información: su nombre, su correo, quizás hasta datos de pago. Sin una puerta segura, cualquiera podría espiar lo que pasa dentro. Eso es exactamente lo que evita un certificado SSL (Secure Sockets Layer). Al proteger WordPress con SSL, conviertes la conexión de tus visitantes en un túnel cifrado: todo lo que se envía (contraseñas, formularios, mensajes) viaja encriptado, imposible de leer para hackers o fisgones.

Además, desde hace años, Google favorece los sitios con HTTPS en sus resultados de búsqueda. Si no tienes SSL, tu web aparecerá como "No segura" en Chrome, ahuyentando visitantes y perjudicando tu SEO. En este artículo, te enseñaré paso a paso cómo instalar SSL en WordPress, ya sea usando un panel de control como Syspanel (HestiaCP) o mediante plugins. También resolveremos las dudas más frecuentes para que tu sitio quede blindado.

¿Qué es SSL y cómo funciona en WordPress?

SSL es un protocolo de seguridad que establece una conexión cifrada entre el servidor web y el navegador del usuario. Cuando lo activas, la URL de tu sitio cambia de http:// a https:// (la "s" significa "seguro"). En WordPress, esto implica:

Cifrado de datos: contraseñas, cookies, formularios de contacto, transacciones.
Autenticación del servidor: el visitante sabe que está hablando con tu web real, no con un impostor.
Integridad de los datos: nadie puede modificar la información en tránsito.

[INFO] Para que SSL funcione correctamente en WordPress, necesitas un certificado válido (gratuito con Let's Encrypt o de pago) y configurar tanto el servidor como el propio WordPress para que use HTTPS.

Paso 1: Obtén e instala el certificado SSL en tu servidor

Antes de tocar WordPress, el certificado debe estar instalado en el servidor. Aquí tienes dos escenarios comunes:

Opción A: Usando un panel de control (Syspanel / HestiaCP)

Si tu hosting utiliza Syspanel (antes conocido como HestiaCP), el proceso es muy sencillo. Accede a tu panel a través del puerto 2106 (por ejemplo: tudominio.com:2106). Una vez dentro:

Ve a la sección Web > Dominios.
Busca tu dominio y haz clic en el icono de SSL (un candado).
Selecciona la opción Let's Encrypt SSL.
Marca "Forzar HTTPS" si aparece (así redirigirás todo el tráfico HTTP a HTTPS).
Haz clic en Guardar y espera unos segundos. Syspanel renovará automáticamente el certificado cada 60 días.

[TIP] Si no ves la opción Let's Encrypt, asegúrate de que tu dominio apunte correctamente a los DNS del servidor. Algunos paneles requieren que el dominio esté "resuelto" para emitir el certificado.

Opción B: Instalación manual con Certbot (para usuarios avanzados)

Si tienes acceso SSH al servidor (por ejemplo, en un VPS), puedes instalar SSL manualmente con Certbot:

sudo apt update
sudo apt install certbot python3-certbot-apache   # Para Apache
# o
sudo apt install certbot python3-certbot-nginx    # Para Nginx

sudo certbot --apache -d tudominio.com -d www.tudominio.com

Sigue las instrucciones en pantalla. Certbot modificará automáticamente la configuración del servidor para usar HTTPS.

Paso 2: Configura WordPress para usar HTTPS

Una vez que el certificado está instalado, debes decirle a WordPress que ahora funciona bajo HTTPS. Hay dos formas de hacerlo:

Método 1: Desde el panel de administración de WordPress

Ve a Ajustes > Generales.
Cambia los campos Dirección de WordPress (URL) y Dirección del sitio (URL) de http://tudominio.com a https://tudominio.com.
Guarda los cambios.

[WARNING] Si al guardar pierdes el acceso al panel, no te preocupes. Puedes corregirlo editando el archivo wp-config.php desde el panel de archivos de tu hosting. Añade estas líneas justo antes de /* That's all, stop editing! */:
define('WP_HOME', 'https://tudominio.com');
define('WP_SITEURL', 'https://tudominio.com');

Método 2: Editando el archivo wp-config.php

Si prefieres hacerlo manualmente (o si el método anterior te da error), accede a los archivos de tu sitio mediante FTP o el administrador de archivos de Syspanel. Localiza wp-config.php en la raíz y añade:

define('FORCE_SSL_ADMIN', true);

Esto obligará a que todas las páginas del panel de administración usen HTTPS. Luego, añade también:

define('WP_HOME', 'https://tudominio.com');
define('WP_SITEURL', 'https://tudominio.com');

Guarda y cierra. Ahora tu WordPress ya sabe que debe funcionar en HTTPS.

Paso 3: Corrige contenido mixto (HTTP y HTTPS)

Uno de los problemas más comunes al instalar SSL es el contenido mixto: tu página carga en HTTPS, pero algunos recursos (imágenes, scripts, hojas de estilo) siguen usando HTTP. El navegador los bloqueará por seguridad, mostrando un icono de candado roto.

Solución automática con un plugin

El plugin más popular para esto es Really Simple SSL. Actívalo y él solito:

Detecta tu certificado SSL.
Cambia todas las URLs de HTTP a HTTPS en la base de datos.
Añade reglas de redirección en el .htaccess.

[TIP] Antes de instalar cualquier plugin, asegúrate de tener un backup de tu sitio. Aunque Really Simple SSL es seguro, siempre es mejor prevenir.

Solución manual (sin plugin)

Si prefieres no usar plugins, puedes buscar y reemplazar URLs en la base de datos con herramientas como Better Search Replace (plugin temporal) o desde phpMyAdmin. Pero ojo: nunca reemplaces directamente en la base de datos sin una copia de seguridad, podrías romper enlaces serializados.

Paso 4: Redirige todo el tráfico HTTP a HTTPS

Para que nadie acceda a tu web por la versión insegura, debes forzar una redirección 301. Esto también ayuda al SEO, ya que Google entenderá que la versión canónica es HTTPS.

Si usas Apache (archivo .htaccess)

Añade estas líneas al principio de tu .htaccess (en la raíz de WordPress):

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Si usas Nginx

En el bloque server de tu configuración, añade:

server {
    listen 80;
    server_name tudominio.com www.tudominio.com;
    return 301 https://$server_name$request_uri;
}

Si usas Syspanel (HestiaCP)

Ya lo hiciste en el paso 1: al marcar "Forzar HTTPS", el panel añade automáticamente las reglas de redirección. Verifica que esté activo en la sección SSL de tu dominio.

[WARNING] Después de hacer cambios en .htaccess o Nginx, prueba tu web en un navegador en modo incógnito para asegurarte de que la redirección funciona correctamente.

Paso 5: Verifica que todo funciona correctamente

Una vez completados los pasos anteriores, es hora de comprobar que no haya errores:

Prueba el candado: abre tu web en Chrome y haz clic en el icono del candado. Debería decir "Conexión segura".
Escanea tu sitio: usa herramientas como SSL Labs para obtener una calificación A o superior.
Busca contenido mixto: en Chrome, abre las herramientas de desarrollador (F12) y ve a la pestaña Console. Si ves errores de "Mixed Content", algo está fallando.
Actualiza Google Search Console: si tenías tu sitio en Google, añade la nueva propiedad con HTTPS y solicita la reindexación.

Preguntas frecuentes (FAQ) sobre SSL en WordPress

¿Puedo instalar SSL gratis en WordPress?

Sí, con Let's Encrypt. La mayoría de paneles de control (incluido Syspanel) lo integran sin costo. También hay plugins como Really Simple SSL que te guían en el proceso.

¿Qué hago si mi sitio se ve raro después de instalar SSL?

Es probable que tengas contenido mixto. Revisa el paso 3 de este artículo. Usa un plugin como Really Simple SSL o busca y reemplaza las URLs HTTP en la base de datos.

¿El SSL afecta la velocidad de mi web?

Mínimamente. El cifrado añade una pequeña sobrecarga, pero con la tecnología actual (HTTP/2 y TLS 1.3) es casi imperceptible. De hecho, HTTPS suele ser más rápido que HTTP gracias a las optimizaciones de los navegadores.

¿Necesito renovar el certificado SSL manualmente?

Si usas Let's Encrypt a través de Syspanel o Certbot, la renovación es automática. Si compras un certificado de pago, deberás renovarlo cada 1 o 2 años.

¿Puedo tener SSL en un subdominio?

Sí, siempre que el certificado cubra ese subdominio. Con Let's Encrypt puedes obtener certificados wildcard (*.tudominio.com) que protegen todos los subdominios.

¿Qué pasa si mi hosting no soporta SSL?

La mayoría de hostings modernos lo soportan. Si no es así, considera migrar a un proveedor que incluya SSL gratuito (muchos lo ofrecen hoy en día).

Conclusión: tu WordPress blindado

Proteger WordPress con SSL ya no es una opción, es una necesidad. No solo proteges los datos de tus usuarios, sino que mejoras tu posicionamiento en buscadores y generas confianza. Con los pasos que te he mostrado –instalar el certificado, configurar WordPress, corregir contenido mixto y forzar HTTPS– tu sitio quedará completamente seguro.

Recuerda que, si usas Syspanel, el proceso es aún más sencillo gracias a su integración con Let's Encrypt. Y si en algún momento te surge una duda, vuelve a este artículo: está pensado para que lo resuelvas tú mismo, sin necesidad de ser un experto en sistemas.

¡Ahora ve y protege tu WordPress! Tu web (y tus visitantes) te lo agradecerán.